IAB Europe heeft wellicht Europese privacywet geschonden met cookiepop-ups

IAB's raamwerk waarop de cookiepop-ups voor veel websites zijn gebaseerd, is wellicht in strijd met de Europese privacywetgeving. De Belgische Gegevensbeschermingsautoriteit zou bijna klaar zijn met het onderzoek naar eventuele schending van de wet.

Binnen twee tot drie weken wordt de voorlopige uitspraak van de GBA gedeeld met andere gegevensbeschermingsautoriteiten, zegt IAB Europe, een beroepsorganisatie voor online adverteerders, in een update omtrent de situatie. Zij krijgen dan nog dertig dagen om de uitspraak goed te keuren. Als ze het eens zijn, wordt de uitspraak bindend, anders moet het Europees Comité voor gegevensbescherming zich er wellicht nog over ontfermen. Wanneer het onderzoek en de uitspraak publiekelijk bekend worden gemaakt, is nog niet duidelijk.

De mogelijke overtreding zit hem in het Transparency & Consent Framework van de organisatie. Op dit raamwerk, dat door onder meer Google wordt gebruikt, worden pop-upvensters gebaseerd die gebruikers vragen om toestemming te geven voor trackingcookies en andere traceringsmiddelen op websites. In oktober vorig jaar begon de Gegevensbeschermingsautoriteit een onderzoek naar IAB Europes framework. Het schendt misschien de Europese privacywetgeving, GDPR, op het gebied van 'transparantie, eerlijkheid en verantwoording', liet de autoriteit toen weten. Verdere details zijn nog niet openbaar gemaakt.

Onder meer de Irish Council for Civil Liberties heeft de GBA op de hoogte gesteld van de overtredingen van IAB Europe. Volgens die raad zijn de pop-ups waarin om trackingtoestemming wordt gevraagd misleidend, omdat die pop-ups zelf al het gedrag van internetgebruikers traceren. Wat mensen aankruisen in die pop-ups, behoort tot persoonlijke data, zegt de raad. Aangezien die info wordt verzameld van mensen die daar geen toestemming voor hebben gegeven, is dat volgens de ICCL verboden onder de privacywetgeving. Ook wordt die data vervolgens door IAB Europe doorgestuurd naar platforms die het gebruiken voor realtime bidding-advertentiedoeleinden, waardoor de organisatie onrechtmatig optreedt als verwerkingsverantwoordelijke, beweert de Ierse raad. In zijn verklaring ontkent IAB Europe dat.

IAB Europe verwacht dat de GBA zal concluderen dat het de privacywetgeving heeft geschonden, maar denkt ook dat de overtredingen 'binnen zes maanden' na de definitieve uitspraak al verholpen kunnen zijn. Mocht blijken dat het TCF inderdaad onwettig is, dan kan de organisatie een boete krijgen en wordt gebruik van het pop-upraamwerk wellicht verboden in Europa totdat de problemen zijn opgelost. Volgens de ICCL maakt tachtig procent van de Europese sites momenteel gebruik van het Transparency & Consent Framework.

Reacties (80)

Helaas is er niet zoveel informatie beschikbaar. Maar als blijkt dat de TCF geen rechtmatige toestemming oplevert dan is de impact enorm. Zonder rechtmatig verkregen grondslag mogen de al verzamelde persoonsgegevens ook niet bewaard blijven. Als de toezichthouder er een beetje strak opzit kan er straks een enorme bulk aan gegevens verwijderd moeten worden bij alle partijen die leunen op IAB's TCF.

Mooi. Ik erger me kapot aan die IAB onzin.

Ik lees helaas niets over het gedoe met 'legitimate interest' die aan staat en wel opeens een vorm van tracking inhoudt. Of de vaak zeer omslachtige stappen die je moet zetten om alles uit te schakelen.

Ik lees helaas niets over het gedoe met 'legitimate interest' die aan staat en wel opeens een vorm van tracking inhoudt.

Dat is op zich niet bij voorbaat verkeerd. Als een bedrijf een gerechtvaardigd belang heeft om jouw persoonsgegevens te verwerken, mogen ze dat doen zonder vooraf jouw toestemming te vragen (de grondslag is dan dus 'gerechtvaardigd belang' in plaats van 'toestemming'). Ze moeten je dan alleen wel de mogelijkheid bieden om bezwaar te maken. Daar zou je een hele procedure voor kunnen inrichten. Maar dan is een knopje in het scherm dat je toch al voor je neus krijgt wel zo gebruiksvriendelijk, toch?

Ja, ze noemen het gerechtvaardigd belang, maar vervolgens staat er ook onder dat ze gewoon gaan tracken om geïndividualiseerde reclames te tonen, etc. Ik kan het zelf ook een gerechtvaardigd belang noemen dat ik jouw geld uit jouw portemonnee haal, maar dat maakt het nog niet waar.

En het is vaak helemaal niet zo dat die dingen standaard uit staan, of dat er het met een enkele knop uit is te zetten.

En het is vaak helemaal niet zo dat die dingen standaard uit staan

Ik probeerde uit te leggen dat dat dus ook helemaal niet hoeft als het bedrijf zich beroept op gerechtvaardigd belang. De vraag is inderdaad of het bedrijf dat in dit geval terecht heeft gedaan.

Volgens de AVG kun je gerechtvaardigd belang als grondslag gebruiken voor marketing. In dat geval maak je als bedrijf dus de afweging tussen jouw belang (geld verdienen) en het belang van de betrokkene (privacy). Ik ben het zeker met je eens dat in dit specifieke geval het laatste belang zwaarder zou moeten wegen.

Vrijwel iedere cookie consent popup die je te zien krijgt is gebaseerd op het TCF. Quantcast, OneTrust, CookieBot, TrustArc, Google (Funding Choices) allemaal TCF.

Ieder groot advertentieplatform in Europa gebruikt TCF, ook onderling, om te kijken of de publisher wel toestemming heeft van de bezoeker. @Floort overdrijft dus niet bepaald. Nu neem ik aan dat er inderdaad een aantal aanpassingen komen en dat het leven dan weer verder gaat, maar vervelend dat er nu een gerucht is maar verder erg weinig informatie.

Als de toezichthouders er dan in het vervolg meteen strak opzitten hoeft het niet te komen tot 3 jaar aan onnodig verzamelen omdat het kan.
Dit is het zoveelste voorbeeld waar miljoenen personen jaren lang geen recht behalen omdat grote ondernemingen hun eigen belang voorop stellen en toezichthouders veel te weinig en veel te laat hun taken doen.

Zonder rechtmatig verkregen grondslag mogen de al verzamelde persoonsgegevens ook niet bewaard blijven.

Dat niet alleen; in principe kan iedereen die door zo'n verwerking getroffen is - zeg maar gerust "alle burgers van Europa" en dan zul je er niet ver naast zitten - om schadevergoeding gaan eisen voor onrechtmatige verwerking. Al zou je het alleen maar hebben over een kleinschalig bedrag voor "emotionele schade" - want ja; dat soort schade kun je volgens de EU claimen in geval van een AVG schending - dan heb je het al over een torenhoog bedrag wat genoeg zou zijn om menig advertentie-firma finaal de nek om te draaien.

Niet om mensen op ideeën te brengen of zo - maar er hoeft maar een stichting op te starten die een massaclaim wil neer gaan leggen uit naam van aangeslotenen, en je hebt de poppen al aan het dansen.

[Reactie gewijzigd door R4gnax op 8 november 2021 22:16]

Niet om mensen op ideeën te brengen of zo - maar er hoeft maar een stichting op te starten die een massaclaim wil neer gaan leggen uit naam van aangeslotenen [...]

Waarom niet? Top-idee

Dergelijke initiatieven bestaan al. Schadevergoedingen zijn niet vanzelfsprekend. Maar er zijn hele slimme juristen die het momenteel proberen.

Om eerlijk te zijn vind ik jullie cookie muur ook de regels overtreden. Dat is ook echt de rand van de wet opzoeken. Daar loopt, afaik ook een onderzoek naar omdat er meer websites zijn die de rand van de wet opzoeken met hun "cookie consent". Het is letterlijk een paywall en dat is niet toegestaan in dat geval, haal je gewoon de muur weg, en zet je er neer:

"Onze content is niet beschikbaar voor niet betalende gebruikers, u dient een abonnement af te sluiten á 2.50,- per maand om de content op Tweakers.net te bekijken".

In plaats van, accepteer onze cookies (alle) of betaal!

De betaalmuur is maar voor een klein aantal artikelen, maar het is waar dat Tweakers eist dat je alle cookies accepteert. En dat mag niet.

Nee, hoor. Je moet de gebruiker een optie bieden zonder dat er cookies geplaatst worden. Er staat nergens in de betreffende wet, dat er geen betaling voor gevraagd mag worden in dat geval.

5 De toegang van de gebruiker tot een dienst van de informatiemaatschappij die wordt geleverd door of namens een krachtens publiekrecht ingestelde rechtspersoon wordt niet afhankelijk gemaakt van het verlenen van toestemming als bedoeld in het eerste lid.

Er staat letterlijk dat de toegang tot de informatie niet afhankelijk mag zijn van het al dan niet verlenen van toestemming... Dus of ik nou wel of niet toestemming verleen, ik moet toegang krijgen tot de informatie (zonder daarvoor aan andere voorwaarden te moeten voldoen, want dat is weer een afhankelijkheid van de toestemming).

Dus het is niet eens een grijs gebied, het mag gewoon niet.

En daar zijn de juristen van DPG alsook de Nederlandse Autoriteit Persoonsgegevens het niet mee eens. Zij geven aan dat het wel mag. Deze laatste benoemt de mogelijkheid van betaling als alternatief voor cookies ook expliciet in hun FAQ https://autoriteitpersoon...lefoon-tv-en-post/cookies

Ik denk dat het handig is als mijn presentatie van de Digital Meet-up Privacy & Security online komt. Je kan uren discussiëren over de vrijheid van de toestemming, maar dat is niet de enige eis die art. 7 van de AVG aan toestemming stelt. Tweakers/DPG voldoet bijvoorbeeld niet aan de laatste zin van lid 3. Het intrekken van de toestemming is niet net zo makkelijk als het geven ervan dus is er niet voldaan aan alle voorwaarden waar toestemming aan moet voldoen.

Ik zal de presentatie zeker bekijken als ze online komt.

Maar hoeveel eenvoudiger moeten ze het dan bijvoorbeeld maken? De enige manier om het even eenvoudig te maken is door ook continue een pop-up in beeld te hebben lijkt mij. Want als ik met een niet ingelogd account de cookies accepteer en daarna onderaan de pagina op cookies klik krijg ik gewoon weer een knop voorgeschoteld om de toestemming in te trekken. Veel eenvoudiger kan toch bijna niet lijkt mij.

Dat is precies wat ik wilde zeggen. Het is overigens niet zo belangrijk hoe makkelijk het intrekken is als het maar net zo makkelijk is als het geven van toestemming. Het idee is dat een soort toestemmings-fuik verboden is. Geen toestemming met één klik, maar het intrekken via aangetekende post. En als je de toestemmingskeus vol in iemands' snuffert duwt en een keuze afdwingt moet je wel ongeveer hetzelfde doen voor het intrekken. De realiteit is dat je daardoor ook niet zo hard de toestemmingsvraag mag opdringen zonder in vrij absurde situaties te belanden.

Gewoon standaard een slider rechtsbovenin; cookies aan/uit

Uit de FAQ : "Weigert iemand tracking cookies? Dan moet u deze persoon toch toegang geven tot uw website of app, bijvoorbeeld na betaling."

En dat is dus onjuist.

Ook uit de FAQ:
Bij een cookiewall heeft u geen echte of vrije keuze. U kunt tracking cookies weigeren, maar dat kan niet zonder nadelige gevolgen.

Een betaling moeten doen is ook een 'nadelig gevolg' van het weigeren van cookies.

Het is heel simpel. De wet stelt, letterlijk, dat er geen afhankelijkheden van het accepteren van de cookies mogen zijn voor de toegang. Geld vragen om de cookies niet te plaatsen is afhankelijk van de keuze, en dus mag dat van de wet niet. Of er moet nog ergens een artikel zijn wat het expliciet wel toestaat.

Nee, dat zegt de wet niet letterlijk. Artikel 7(4) van de AVG zegt dit (bold door mij toegevoegd):

When assessing whether consent is freely given, utmost account shall be taken of whether, inter alia, the performance of a contract, including the provision of a service, is conditional on consent to the processing of personal data that is not necessary for the performance of that contract.

Een betaling moeten doen is ook een 'nadelig gevolg' van het weigeren van cookies.

Er staat woordelijk dat je ten alle tijden toegang moet geven, bijvoorbeeld na betaling. Daar is geen woord Frans aan :-)

De AP ziet betalen voor de geleverde diensten dus niet als een 'nadelig gevolg' als je geen cookies wilt.

Vermoedelijk doelen ze dan meer op een verbod 'halve artikelen', dat de site trager is of dat je 3x extra moet klikken per pagina met een pauze van 5 seconden voor 'cookieloze sessies'. (ofwel het pesten van gebruikers als ze geen cookies accepteren)

De wet stelt, letterlijk, dat er geen afhankelijkheden van het accepteren van de cookies mogen zijn voor de toegang.

Ik kan die zinsnede niet vinden in een zoekmachine (omdat je het woord 'letterlijk' gebruikt). Maar welke wettekst bedoel je precies? Ik ben oprecht nieuwsgierig over hoe de AP de wet dan verkeerd interpreteert volgens jou?

Edit: Ik heb een Europese regel voor je gevonden:

https://data.consilium.eu.../ST-5008-2021-INIT/en/pdf
Dit heerlijk leesbare brondocument
Hoofdstuk 20aaaa

Making access to website content provided without direct monetary payment
dependent on the consent of the end-user to the storage and reading of cookies
for additional purposes would normally not be considered as depriving the end-
user of a genuine choice if the end-user is able to choose between services, on the
basis of clear, precise and user-friendly information about the purposes of
cookies and similar techniques, between an offer that includes consenting to the
use of cookies for additional purposes on the one hand, and an equivalent offer
by the same provider that does not involve consenting to data use for additional
purposes, on the other hand. Conversely, in some cases, making access to
website content dependent on consent to the use of such cookies may be
considered, in the presence of a clear imbalance between the end-user and the
service provider as depriving the end-user of a genuine choice. This would
normally be the case for websites providing certain services, such as those
provided by public authorities. Similarly, such imbalance could exist where the
end-user has only few or no alternatives to the service, and thus has no real
choice as to the usage of cookies for instance in case of service providers in a
dominant position

In een notendop:
De website mag een 'cookie-of-betalen-muur' plaatsen onder de volgende voorwaarden:

• Zolang de website helder is over wat de cookies inhouden
• Er een alternatief is voor de dienst
• De website geen 'unieke noodzakelijke dienst aanbiedt' (zoals bijvoorbeeld een overheid)

Je kan van tweakers.net zeggen wat je wilt. Maar het nieuws-gedeelte waar we nu op reageren is geen 'noodzakelijke' of 'unieke' site. Er zijn vele andere technologie-nieuwssites.

[Reactie gewijzigd door lenwar op 8 november 2021 21:15]

Ik vind het wel een onduidelijk (en dus grijs) verhaal zoals je dat stelt.

Zonder abbo kom ik ook niet op het FD, volgens jou redenering zou ik gratis en onbeperkte toegang content kunnen eisen?

Na 3 (of 5) gratis artikelen op diverse nieuws-sites krijg ik geen toegang meer tot die sites. Die cookies zijn verboden?

De FD is dan ook een abonnementsdienst.
Als Tweakers dat ook (volledig) zou worden, dan is er ook geen probleem.

Het gaat hier om het expliciet vragen van geld voor het niet accepteren van cookies.

[...]


Er staat letterlijk dat de toegang tot de informatie niet afhankelijk mag zijn van het al dan niet verlenen van toestemming... Dus of ik nou wel of niet toestemming verleen, ik moet toegang krijgen tot de informatie (zonder daarvoor aan andere voorwaarden te moeten voldoen, want dat is weer een afhankelijkheid van de toestemming).

Dus het is niet eens een grijs gebied, het mag gewoon niet.

Grijs gebied? Nee, hoor er staat dat je gebruikers de keuze moet laten. Er staat niks over in dat de keuzes betaling vrij moeten zijn.
https://gdpr-info.eu

Hoezeer ik ook tegen de manier ben waarop Tweakers het doet: er wordt niet geëist dat je alle cookies accepteert, ze geven je een optie om dat niet te doen. Die optie kost alleen geld. Precies wat @Tweakez zegt: de rand van de wet opzoeken. Ze gaan er niet overheen, in mijn ogen (maar ik ben geen jurist), maar daarentegen vind ik het totaal niet in de geest van de cookiewet.

Ik vind het juist duidelijk, hier volgt juist uit dat het accepteren van cookies een waarde in geld vertegenwoordigd.

Ok, ik zie je punt.

Volgens mij biedt Tweakers de keuze alle cookies accepteren of inloggen. Overigens kun je daarna (ergens onder een page) je cookie voorkeuren nog een beetje verder instellen, maar dat je ze eerst allemaal zou moeten accepteren is niet OK.

Tweakers.net heeft juist de goede weg genomen, tracking-cookies of betalen. De AP is hier ook duidelijk over :
Heeft u een website, app of andere dienst waarbij u tracking cookies inzet? Dan moet u toestemming vragen aan uw bezoekers of gebruikers voor deze tracking cookies. U mag dit volgens de Algemene verordening gegevensbescherming (AVG) niet doen met een cookiewall (cookiemuur).

Dat betekent dat u uw bezoekers of gebruikers de mogelijkheid moet geven om tracking cookies te weigeren. Bijvoorbeeld door een informatiebalk of pop-up aan te bieden met een duidelijke keuze tussen ‘ja’ en ‘nee’. U mag geen cookies plaatsen voordat de bezoeker een keuze heeft gemaakt.

Weigert iemand tracking cookies? Dan moet u deze persoon toch toegang geven tot uw website of app, bijvoorbeeld na betaling.

Dat er mensen zijn die gratis content willen zonder tracking cookies, dat is een ander iets...

[Reactie gewijzigd door bvdbos op 8 november 2021 17:39]

De AP bepaalt niet wat de wet is... De rechter bepaalt dat, en tot daar jurisprudentie over is kan de AP heel veel in hun FAQ zetten, dat betekent niet dat dat klopt.

Nee, maar de AP is wel de organisatie die proactief toekijkt op het toepassen van die wetgeving en dus 1 van de beter geplaatste organisaties om er een oordeel over te vellen. Als ik moet kiezen tussen het oordeel van een willekeurig persoon op het internet of dat van de AP, dan zal ik toch echt die laatste kiezen.

Nee, maar de AP is wel de organisatie die proactief toekijkt op het toepassen van die wetgeving en dus 1 van de beter geplaatste organisaties om er een oordeel over te vellen.

Een organisatie die daar nog beter voor gepositioneerd is, is de moederorganisatie: het European data protection board (EDPB) welke al eerder genoemd is in het artikel onder de Nederlandse naam: het Europees Comitè voor gegevensbescherming.

Deze organisatie heeft juist in een officieel advies ter interpretatie van de AVG/GDPR uiteengezet dat er bij de keuze tussen een dienst met tracking; of een duurdere variant van verder die zelfde dienst maar dan zonder tracking geen sprake is van vrije keuze omdat het prijsverschil geclassificeerd wordt als nadelig gevolg.

[Reactie gewijzigd door R4gnax op 8 november 2021 22:03]

Je hoeft er niet blij mee te zijn natuurlijk. Ik vind het persoonlijk ook de meest verwerpelijke vorm van een cookie-verzoek, maar het is volgens de AP toegestaan.

Heeft u een website, app of andere dienst waarbij u tracking cookies inzet? Dan moet u toestemming vragen aan uw bezoekers of gebruikers voor deze tracking cookies. U mag dit volgens de Algemene verordening gegevensbescherming (AVG) niet doen met een cookiewall (cookiemuur).

Dat betekent dat u uw bezoekers of gebruikers de mogelijkheid moet geven om tracking cookies te weigeren. Bijvoorbeeld door een informatiebalk of pop-up aan te bieden met een duidelijke keuze tussen ‘ja’ en ‘nee’. U mag geen cookies plaatsen voordat de bezoeker een keuze heeft gemaakt.

Weigert iemand tracking cookies? Dan moet u deze persoon toch toegang geven tot uw website of app, bijvoorbeeld na betaling.

https://autoriteitpersoon...cookiewall-gebruiken-7111

Het komt er op neer. Je MOET toegang geven tot je site als iemand cookies weigert, maar je mag daar wel een tegenprestatie voor vragen (bijvoorbeeld betaling). Een paywall in de breedste zin, is overigens zeker wel toegestaan. Hele branches maken hier al jaren gebruik van (kranten, pornosites, streamingdiensten, enz. enz. enz.)

Zou willen dat er 1 verplichte uitzondering op de cookiewet verplicht zou worden: dat als je één keer hebt gezegd geen reclame of popups (of wat ze verder dan ook vragen) te willen deze voorkeur wordt opgeslagen. Zodat je niet bij elk volgend bezoek aan dezelfde site telkens weer dezelfde lijst hoeft door te werken.

Het onthouden van dergelijke keuzes valt onder artikel 11.7a lid 3b van de Telecommunicatiewet (de "cookiewet") en mag gewoon zonder toestemming. Dergelijke irritaties zijn meestal het gevolg van (bewust) irriteren van bezoekers totdat ze toestemming geven of omdat de bezoeker zelf de cookie die die setting opslaat wist.

Wist niet dat dit al mogelijk was.

Ook zo'n irritante: 'Wilt u popups?' Met als mogelijke antwoorden: 'Ja' of 'Nu niet, misschien later'.

'Nee' bestaat blijkbaar niet in de reclamewereld

Ik merk dat de "cookiewet" vaak verkeerd wordt uitgelegd. De hele "cookiewet" bestaat uit één artikel die vrij strak regelt waar toestemming voor nodig is. Ik zie ook verdere reacties hieronder over het gebruik van "gerechtvaardigd belang" in plaats van toestemming, maar daar is behoorlijk weinig ruimte voor.

Ik heb wel het idee dat er de laatste tijd vaker een optie 'Weiger alles' wordt getoond. Die zag ik een jaar geleden eigenlijk nooit.

Wat mij ook nog eens opvalt is dat het tracking menu ook nog eens heel onduidelijk is hoe je het moet instellen.

1. Je moet een aantal keren doorklikken tot je bij de sliders komt om tracking uit of aan te zetten.
2. Ze staan lang niet altijd allemaal default op opt-out.
3. Het is onduidelijk of de slider naar links of rechts moet om het uit of aan te zetten.
4. De kleur van de slider maakt het vaak ook niet duidelijk, de ene keer is het balkje rood, soms grijs, soms blauw. Wanneer staat hij op don't track?
5. Soms krijg je de vraag of je het zeker weet dat je minder functionaliteit wilt, dit wordt je ontraden.

Tegenwoordig vermijd ik gewoon elke website die met deze popup komt en blokkeer ik default de meeste cookies. Ze doen er alles aan om het zo ongemakkelijk en onduidelijk mogelijk te maken. Als doorgewinterde IT-er kom je er nog wel uit, maar de meeste gebruikers hebben geen zin in al dit gezeik en klikken dus gewoon maar op accept.

Voor zover ik weet mag dit ook eigenlijk niet. Ik meen dat het eigenlijk een popup moet zijn "Ja" of "Nee".

Maar als je het mij vraagt moeten we eigenlijk toe naar een "track mij niet" register o.i.d. Waar er een plek is waar een site kan opvragen of ze mogen tracken of niet. Volgens mij moet dat niet zo lastig zijn als isp's dat register per klant/ip bij houden.

Ik heb cookieautodelete die alles wist na 10 seconden dus ik druk altijd gewoon op "accept all". Als ik al die instellingen moet nagaan kost me dat 5 minuten.

Opslaan in een cookie?

Maar dan slaat de externe partij die cookie op.

Gewoon alles ads gone, Minder bandbreedte nodig, en uiteindelijk zelfs minder energie, nou hoe groen willen we het maken in de EU

Hoewel cookies gebruikt worden voor advertenties aan te bieden is er geen directe link tussen het verbieden van cookies en het verdwijnen van advertenties.

Opvallend genoeg onthoudt een site het meestal wel wanneer je zegt wél reclame te willen krijgen.
Dat je geen reclame wil zien zal vast komen door een slechte bui, misschien is die wel over na een nachtje slapen dus moeten ze het je wel nog eens vragen om het zeker te weten! (of ze hopen gewoon dat je een keer per ongeluk op ja drukt en tot die tijd maar door spammen...)

Wat een puinzooi, het zou allemaal zoveel eenvoudiger zijn als diensten gewoon do-not-track zouden accepteren, maar uiteindelijk bleek dat ze die setting weer gebruikte voor tracking.

De nieuwe cookiewet van de EU is er naar aan het kijken om de DNT setting wettelijk bindend te maken.

https://digital-strategy....icies/eprivacy-regulation

Dat zou ook het meest eenvoudig zijn en alle browsers ondersteunen het (of kunnen het weer implementeren). Nu moet het steeds per website en het is ontzettend onduidelijk/irritant.

De nieuwe cookiewet van de EU is er naar aan het kijken om de DNT setting wettelijk bindend te maken.

Dat is ie nu al. De AVG/GDPR voorziet hier reeds in.

DNT is een officieel erkende gestandardiseerde specificatie die breedgedragen ondersteund wordt door browsers. Daarmee is het een toegestaan middel om via elektronische weg geautomatiseerd bezwaar tegen verwerking in te dienen. En bezwaar tegen verwerking met als doeleinde direct marketing of profilering (wat DNT letterlijk betekent: Do-Not-Track) dient altijd opgevolgd te worden. Bij deze doeleinden vindt er geen verdere afweging plaats tegen gerechtvaardigde belangen van een verwerker en een verwerker heeft er geen verweer tegen.

DNT ontvangen -> tracking uit. Punt.

Het probleem hiermee is puur de handhaving die uit blijft.

[Reactie gewijzigd door R4gnax op 8 november 2021 22:08]

Ze willen DNT niet honoreren, want dan kunnen ze jouw informatie niet meer verkopen zonder dat je daar expliciete toestemming voor geeft. Gelukkig zijn er extensies om deze privacy-inbreuk te voorkomen.

Weet iemand overigens hoe het met die "Legitimate Interest" zooi zit?
Die zie je ook steeds vaker, dat dan van de 300 provides een stuk of 20 "legitimate interest" hebben, wat dan wel standaard aan staat, en vaak wordt omschreven wordt met een "dit bedrijf heeft echt interesse en daarom willen ze je toch tracken"

Arnoud Engelfriet heeft hier destijds een blog over gewijd op https://blog.iusmentis.co...eens-een-legitiem-belang/

Kort gezegd beroepen ze zich dan niet op toestemming, maar op:

de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde,

En dat gerechtvaardigd belang is een leugen in de meeste gevallen. Ik hoop dat daar een keer zware boetes voor vallen, want je ziet die smiechterige workaround steeds vaker.

Nice, thanks

Weet iemand overigens hoe het met die "Legitimate Interest" zooi zit?

Legitiem belang bestaat wel maar dat hoef je niet uit te leggen.
Zo'n pagina vol tekstjes over 'legitiem belang' is een afleidingsmaneuvre waarmee de lezer wordt overrompeld met bergen tekst in de hoop dat de lezer het opgeeft en maar gewoon alles accepteert, of in ieder geval niet komt klagen dat de data op niet toegestane manier wordt gebruikt.

"Legitiem belang" is voor de postbode die het adres van een brief leest. Die kan z'n werk niet doen zonder die adressen te lezen en dat weet iedereen die een brief verstuurt. De postbode heeft dus een legitiem belang om jouw adres te lezen zonder dat je daar toestemming voor hebt gegeven.

Maar een hoop schimmige bedrijven doen alsof ze een recht hebben om geld te verdienen en dat ze op die grond jouw gegevens mogen verwerken. Zo werkt het natuurlijk niet, maar tot iemand ze tegenhoudt met een megaboete gaan ze gewoon lekker verder.

[...]

Legitiem belang bestaat wel maar dat hoef je niet uit te leggen.

Dat moet de verantwoordelijke zeker wel uitleggen, dat staat in artikel 13(1)(d) en 14(2)(b) van de AVG.

"Legitiem belang" is voor de postbode die het adres van een brief leest. Die kan z'n werk niet doen zonder die adressen te lezen en dat weet iedereen die een brief verstuurt. De postbode heeft dus een legitiem belang om jouw adres te lezen zonder dat je daar toestemming voor hebt gegeven.

Voor het rondbrengen van post is het verwerken van de adresgegevens vrij noodzakelijk voor het leveren van de dienst. Het lijk me bijzonder onhandig als mensen bezwaar gaan maken tegen de verwerking van hun persoonsgegevens door PostNL.

Maar een hoop schimmige bedrijven doen alsof ze een recht hebben om geld te verdienen en dat ze op die grond jouw gegevens mogen verwerken. Zo werkt het natuurlijk niet, maar tot iemand ze tegenhoudt met een megaboete gaan ze gewoon lekker verder.

Bedrijven hebben wel het recht om geld te verdienen en het commerciële belang kan zelfs onderdeel zijn van de belangenafweging die de verantwoordelijke maakt onder de gerechtvaardigd belang grondslag. Dat is zelfs heel normaal als bijvoorbeeld een bedrijf waar je klant van bent je reclame stuurt met aanbiedingen voor vergelijkbare producten of diensten. Waar het vaak fout gaat is dat die belangenafweging niet, onzorgvuldig of te eenzijdig wordt gemaakt. En zeker ook met allerlei vormen van online tracking kom je niet eens toe aan een belangenafweging omdat art. 11.7a Tw heeft bepaald dat toestemming de enige mogelijk grondslag is.

Om je eerlijk te zeggen vind ik het hele anticookie gebeuren ondertussen her meest irritante dat de EU internet heeft aangedaan. Ik wordt zo moe van bijna bij elke site eerst weer zooi hiervoor moeten wegklikken.

Om je eerlijk te zeggen vind ik het hele anticookie gebeuren ondertussen her meest irritante dat de EU internet heeft aangedaan. Ik wordt zo moe van bijna bij elke site eerst weer zooi hiervoor moeten wegklikken.

De EU heeft het internet helemaal niets aangedaan. De advertentie-industrie heeft het internet iets aangedaan, door bewust zaken zo irritant mogelijk in te richten binnen -- en vaak buiten; maar handhaving blijft uit -- het kader van de wet. En dat het hier tot wetgeving heeft moeten komen om burgers in bescherming te nemen, komt omdat de advertentie-industrie incapabel danwel onwillig is gebleken om zichzelf te reguleren.

[Reactie gewijzigd door R4gnax op 9 november 2021 12:47]

De EU heeft die cookiemeldingen verplicht gesteld, dus de EU is de schuld dat iedere site dat nu moet vragen.

Ik werk al tijden met de Firefox add-ons: "I don't care about cookies" (Die accepteert automatisch zoveel mogelijk cookies op de laagste 'stand') en 'Cookie Autodelete' om ze weer te verwijderen zodra ik de site heb verlaten. Voor sommige sites maak ik uitzonderingen, om ze een sessie te bewaren, of permanent te bewaren)

(zo bewaar ik voor tweakers.net 3 van de 7 cookies die Tweakers altijd plaatst om o.a. ingelogd te blijven)

Dit werkt voor 95% - 99% van de websites die ik gebruik meer dan prima voor mij. De enige sites die echt etterig zijn, zijn die van Google. Google diensten willen per se dat je 'algemeen' dingen instelt. Dan komt er ook een domein van 'doubleclick.net' voorbij en die wordt door m'n AdGuardHome beblokkeerd, dus die is dan wel wat gedoe, maar naast tussendoor een keer een Youtube filmpje kijken, gebruik ik eigenlijk geen Google diensten. (niet principieel, ik heb er gewoon, op Youtube na, geen gebruik voor)

Op m'n telefoon gebruik ik op Safari de Extension 'Super Agent for Safari'. Die doet ongeveer hetzelfde als 'I don't care about cookies', maar dan op Safari op een telefoon. Verder surf ik altijd in de 'Privé modes' op Safari, zodat ik die hinderlijke 'smart app banners' (die hinderlijke dingen, die als je een site bezoekt, een banner naar de app-store-app van de site op je beeld forceert. Helaas kan je dit niet uitzetten in Safari)

Verder surf ik altijd in de 'Privé modes' op Safari, zodat ik die hinderlijke 'smart app banners' (die hinderlijke dingen, die als je een site bezoekt, een banner naar de app-store-app van de site op je beeld forceert. Helaas kan je dit niet uitzetten in Safari)

Misschien heb je hier iets aan. Toen ik dit jaar, na 10 jaar Android te hebben gebruikt, overstapte naar een iPhone, was er één ding heel belangrijk: Een reclamevrije telefoon.
Die zogenaamde ´smart app banners´ zijn volgens mij wel degelijk te onderdrukken (ik ben ze in elk geval nog nooit tegengekomen).

Je zou twee apps kunnen uitproberen die ik zelf ook gebruik:

• Blokada (https://apps.apple.com/us/app/blokada/id1508341781)
  Deze app gebruik ik om reclame in apps te onderdrukken.
• Adguard (https://apps.apple.com/nl...lock-privacy/id1047223162)
  En deze gebruik ik als adblocker voor Safari.

Van beide apps gebruik ik de gratis versie die vooralsnog volstaat. Het is wellicht even wat zoeken naar de optimale instellingen. Zelf heb ik alles vrij strikt ingesteld, waardoor ik soms een uitzondering moet maken. Bij mij werkte de bank-app bijvoorbeeld pas nadat ik in Blokada een uitzondering voor een bepaald domein had aangemaakt.

[Reactie gewijzigd door JKP op 9 november 2021 03:34]

Bedankt voor de suggesties
Dit zijn echter geen reguliere advertenties. Het zijn meta-tags waar de browser zelf iets mee doet.
Bijvoorbeeld van nos.nl:
<meta content="app-id=516491461" name="apple-itunes-app"/>
<meta content="app-id=nl.nos.app" name="google-play-app"/>

En Safari plakt dan die vervelende banner boven in de pagina. Dus in de praktijk zou het een soort transparante proxy moeten worden die die meta-tag verwijderd (ik denk dat Chrome op Android het ook doet??)

Snel even verder gezocht wat het dan wel is. Open de Instellingen op je iPhone. Ga naar Safari. En schakel vervolgens ‘Safari-suggesties’ uit.

Dut zou het moeten oplossen, want ik zie nergens app suggesties.

Die heb ik uit staan.
Die Safari suggesties gaan als het goed is ook zoeksuggesties van Siri (aldus Apple)

Zelfs Tweakers breekt de cookiewet zoals het nu is. Je wordt namelijk van de website geblokkeerd als je deze niet accepteert, en dat mag niet.

[Reactie gewijzigd door MrFax op 8 november 2021 16:19]

Onzin, je krijgt de keuze om cookies te accepteren of om een abonnement af te sluiten. Je mag dus kiezen, betalen met je data of met euros. Kan je het artikel aanwijzen waar staat dat dit niet zou mogen?

AP heeft het volgende op hun site staan:

Cookiewall
Een cookiewall houdt in dat mensen die een website willen bezoeken of app willen gebruiken, de vraag krijgen om cookies te accepteren voordat zij toegang krijgen tot de website. Geven zij geen toestemming, dan krijgen zij geen toegang.

Let op: het verbod op cookiewalls ziet niet alleen op het plaatsen van cookies. Niet alleen cookies vallen onder deze beschrijving, maar ook daarmee vergelijkbare technieken waarvoor eveneens toestemming gevraagd moet worden. Dit zijn technieken zoals Javascripts, Flash cookies, HTML5-local storage en/of web beacons.

Geldige toestemming
De AVG stelt strenge eisen aan geldige toestemming. Een belangrijke eis is dat mensen vrij moeten zijn om toestemming te geven. En dus ook om toestemming te weigeren. De AVG ziet toestemming niet als ‘vrij’ als iemand geen echte of vrije keuze heeft. Of als diegene toestemming niet kan weigeren zonder nadelige gevolgen.

Bij een cookiewall hebben websitebezoekers geen echte of vrije keuze. Weliswaar kunnen ze tracking cookies weigeren, maar dat kan niet zonder nadelige gevolgen. Want tracking cookies weigeren, betekent dat ze geen toegang krijgen tot de website. Daarom zijn cookiewalls onder de AVG verboden.

Dus het is wel degelijk verboden, wat tweakers doet is tegen de regels van de AVG

En de AP heeft ook het volgende op hun site staan:

Hoe vraag ik als organisatie toestemming zonder cookiewall?

Heeft u een website, app of andere dienst waarbij u tracking cookies inzet? Dan moet u toestemming vragen aan uw bezoekers of gebruikers voor deze tracking cookies. U mag dit volgens de Algemene verordening gegevensbescherming (AVG) niet doen met een cookiewall (cookiemuur).

Dat betekent dat u uw bezoekers of gebruikers de mogelijkheid moet geven om tracking cookies te weigeren. Bijvoorbeeld door een informatiebalk of pop-up aan te bieden met een duidelijke keuze tussen ‘ja’ en ‘nee’. U mag geen cookies plaatsen voordat de bezoeker een keuze heeft gemaakt.

Weigert iemand tracking cookies? Dan moet u deze persoon toch toegang geven tot uw website of app, bijvoorbeeld na betaling.

Niet dat het heel veel uitmaakt. Bijna iedereen gebruikt contentblockers en doen die trackingcookies het toch niet.

Veel vager kan je het niet formuleren. Wat is een "nadelig gevolg"? Een halve website? Betalen? Die uitleg is zover uitgekleed dat je daar juridisch helemaal niets mee kunt.

Let wel, ik probeer het beleid van Tweakers niet te verdedigen of goed te keuren. Maar wanneer iemand stelt dat een partij zich niet aan de wet houdt mag daar wel een degelijke onderbouwing tegenover staan.

Het is niet in lijn met de gedachte van de wet. Verder heeft u gelijk dat Tweakers.net zich nu eindelijk aan de wet houd na deze opzettelijk te hebben genegeerd jaren lang.

Tweakers heeft niks op met de privacy van haar members; na het ze nu eindelijk aan de wet voldoet is fijn maar veels te laat en geen applaus waardig; ik hoop dat ze nog steeds de boete mogen ontvangen.

Ik heb hier een wat meer uitgebreide analyse geschreven over de rechtmatigheid van Tweakers' consent flow. Verwijderen tracking-data

Dat is niet waar. Volgens de AP is het gewoon toegestaan wat Tweakers doet. (of je het netjes vindt is wat anders natuurlijk)
https://autoriteitpersoon...cookiewall-gebruiken-7111

Hoe vraag ik als organisatie toestemming zonder cookiewall?

---

Heeft u een website, app of andere dienst waarbij u tracking cookies inzet? Dan moet u toestemming vragen aan uw bezoekers of gebruikers voor deze tracking cookies. U mag dit volgens de Algemene verordening gegevensbescherming (AVG) niet doen met een cookiewall (cookiemuur).

Dat betekent dat u uw bezoekers of gebruikers de mogelijkheid moet geven om tracking cookies te weigeren. Bijvoorbeeld door een informatiebalk of pop-up aan te bieden met een duidelijke keuze tussen ‘ja’ en ‘nee’. U mag geen cookies plaatsen voordat de bezoeker een keuze heeft gemaakt.

Weigert iemand tracking cookies? Dan moet u deze persoon toch toegang geven tot uw website of app, bijvoorbeeld na betaling.

Cookies, ik klik tegenwoordig ook maar op accepteer alles. Wat een gedoe om dat voor elke website uit te zetten. Ben er wel klaar mee. Met ublockorigin blokkeer ik de advertenties/cookies wel weer. Je moet een hele studie doen wil je weten wat de voorwaarden zijn. Bijvoorbeeld dumpert.nl, als je daar de partnercookies van bekijkt dan is er toch geen beginnen aan om voor elke partner uit te zoeken wat ze er mee doen en of je daarmee akkoord gaat?

Ik mis vooral een universele IDGAF optie in het hele cookie gedoe. Het maakt mij letterlijk niets uit of ik voor advertentiedoeleinden getracked wordt door adverteerders. Waar ik me wel aan stoor is het op elke website geconfronteerd te worden met een banner of nog erger pop up. Weer extra klikken, extra laadtijd en meer afleiding. Het internet zou een stuk schoner zijn zonder deze cookiemuren.